오픈 AI 모델이 '아직 배포 안 된 패치' 읽고 파이어폭스 뚫었다…에포크 AI "GLM 5.3, 6개 버전 공략에 버전당 1,000달러"

누구나 내려받을 수 있는 공개 가중치(오픈 웨이트) AI 모델이 아직 사용자에게 배포되지 않은 보안 패치를 거꾸로 읽어내 파이어폭스 브라우저를 뚫는 공격 코드를 스스로 만들어냈다. 미국 AI 연구기관 에포크 AI(Epoch AI)는 29일(현지시간) 공개한 보고서에서 중국 지푸(Z.ai)의 오픈 모델 'GLM 5.3'이 최근 파이어폭스 6개 버전을 모두 공략하는 데 성공했으며, 일단 실험 환경을 갖춘 뒤에는 버전당 약 1,000달러(약 140만 원)의 API 비용이면 충분했다고 밝혔다. 모질라는 같은 날 대응책을 내놨다. 그동안 최첨단 폐쇄형 모델의 영역으로 여겨졌던 고급 해킹 능력이 공개 모델로 번지고 있다는 경고음이다.

핵심 정리

• 에포크 AI 실험에서 오픈 모델 GLM 5.3이 9월 17일~10월 26일 출시된 파이어폭스 6개 버전(156.0~158.0.1)을 모두 공략했다.
• 웹페이지 방문만으로 사용자 PC의 파일을 읽어 공격자 서버로 보내는 수준이었고, 버전당 한계 비용은 약 1,000달러, 가장 빠른 시도는 12시간이었다.
• 공격에는 모델이 스스로 찾아낸 미공개 취약점도 쓰였으며, 모질라는 10월 27일 파이어폭스 159.0에서 이를 고쳤다.
• 같은 방식으로 크롬 공격에는 약 10만 달러를 쓰고도 실패했다.
• 모질라는 매주 배포, 회귀 테스트 비공개, 방어 계층별 패치 시점 분리 등 대응책을 내놨다.

무슨 일이 있었나

보안 업계에는 '패치 갭(patch gap)'이라는 말이 있다. 보안 수정 코드가 공개 저장소나 베타·나이틀리 버전에 먼저 올라온 뒤 실제 사용자 대부분에게 배포되기까지의 틈이다. 이 틈에 수정 내용을 거꾸로 분석하면 아직 업데이트하지 않은 구버전을 공격할 수 있다. 오래된 위협이지만, 지금까지는 상당한 시간과 전문성이 필요해 실제로 이를 노릴 수 있는 공격자는 많지 않았다.

에포크 AI는 이 전제가 여전히 유효한지 시험했다. 연구진은 GLM 5.3에 '사용자 PC의 로컬 파일을 읽어내는 웹페이지를 만들라'는 과제를 주고, 대상 파이어폭스 버전과 기본 도구, 그리고 해당 버전 출시 당시 공개돼 있던 정보만 제공했다. 패치 갭을 노리라는 기본 지시 이외에는 사람이 개입하지 않았다. 모델은 다가오는 보안 수정 사항을 스스로 찾아내고, 취약점을 고르고, 다단계 공격 사슬을 조립했다.

결과는 6개 버전 전부 성공이었다. 모델이 만든 웹페이지에 파이어폭스 사용자가 접속하기만 하면 추가 조작 없이 PC의 파일이 공격자 서버로 전송됐다. 에포크는 이 방식이 브라우저에 저장된 비밀번호나 로그인 쿠키를 훔치는 데 쓰일 수 있다고 설명했다. 파이어폭스 활성 사용자는 2억 명이 넘는다.

어떻게 뚫었나

공격은 단순하지 않았다. 파이어폭스는 공격자를 늦추기 위해 보안 수정을 평범한 개선 작업처럼 위장해 올리는데, GLM 5.3은 코드를 읽고 어느 변경이 보안 패치인지 가려냈다. 한 시도에서는 다가올 수정 사항에서 메모리 안전성 결함을 찾아 브라우저 내부 메모리를 읽고 쓰는 방법을 만들었지만, 보안 장치에 막혀 파일까지는 접근하지 못했다. 모델은 충돌 원인을 진단하고 실패한 접근은 버리면서 단계를 덧붙여, 결국 방문만으로 파일이 빠져나가는 공격을 완성했다.

다만 중요한 단서가 있다. 성공한 모든 공격은 두 가지 취약점을 엮은 것이었다. 하나는 패치 갭에서 찾은 취약점으로 웹 콘텐츠 처리 영역에서 코드를 실행했고, 다른 하나는 아직 공개되지 않은 별도의 취약점으로 샌드박스(격리 장치)를 우회했다. 이 미공개 취약점은 모델이 매 시도마다 스스로 다시 찾아냈다. 에포크는 이를 모질라에 알렸고, 모질라는 10월 27일 파이어폭스 159.0에서 고쳤다. 에포크는 159.0에서도 같은 공격이 통하는지는 아직 확인하지 못했지만 "적어도 상당히 어려워졌을 것"으로 본다. 또 파일 읽기 이후 임의 코드 실행까지 시도했지만 최근 버전에서는 성공하지 못했다고 밝혔다.

숫자로 보면

에포크가 파이어폭스 연구 전체에 쓴 API 비용은 10만 달러를 넘는다. 하지만 이는 오프라인 실험 환경을 만드는 비용까지 포함한 것이고, 환경이 갖춰진 뒤 새 버전 하나를 뚫는 데 드는 한계 비용은 약 1,000달러였다. 모델에는 최대 48시간이 주어졌는데 가장 빠른 시도는 12시간 만에 끝났다. 같은 장비와 기법으로 구글 크롬을 노렸을 때는 약 10만 달러를 쓰고도 동등한 공격을 만들지 못했다. 연구진은 실험 내내 지푸를 포함한 어떤 API 제공업체에서도 거부나 안전장치 작동을 겪지 않았다고 했다. 과제를 '보안 훈련'으로 포장했지만 실제 공격자와 구분되지 않는 행동이었다는 설명이다.

배경: 프런티어 모델 독점이 깨지다

올해 4월 앤트로픽의 '클로드 미토스 프리뷰' 공개 이후 최첨단 AI가 실제 소프트웨어의 취약점을 찾아 공격 코드까지 만들 수 있다는 점은 분명해졌다. 업계는 방어자에게 먼저 강력한 모델을 쥐여 주고 일반 접근은 엄격히 제한하는 방식으로 대응해 왔다. 모질라도 2월부터 앤트로픽·오픈AI 모델을 미리 받아 쓰며, 지난해 같은 기간보다 7배 넘는 보안 수정을 내보냈다고 밝혔다.

문제는 공개 수정 코드 자체가 '여기에 구멍이 있었다'는 표지라는 점이다. 모질라 역시 블로그에서 GLM 5.3 같은 모델이 더 강력한 모델이 찾아낸 버그의 수정 내용을 역이용할 수 있다는 증거를 봤다고 인정했다. 방어자가 아무리 앞선 모델을 써도, 고친 흔적이 공개되는 순간 뒤처진 공개 모델이 그 흔적을 따라올 수 있다는 뜻이다. 오픈 모델은 가중치가 풀려 있어 안전장치를 제거한 변형도 만들 수 있다.

엇갈리는 시각

모질라는 낙관과 경계를 함께 내놨다. 바비 홀리(Bobby Holley)는 블로그에서 소프트웨어 결함은 유한하고 강력한 모델이 결국 모두 찾아낼 것이라며 "궁극적으로 방어자에게 좋은 소식"이라고 했다. 공격자가 쓰는 모델은 몇 세대 뒤처져 있고, 그 수준에서 찾을 수 있는 파이어폭스 버그는 대부분 이미 정리됐다는 주장이다. 반면 에포크는 이번 결과를 "고급 사이버 능력이 확산되고 있다는 증거"로 규정하며, 더 강한 오픈 모델이 나올수록 위험이 커질 것이라고 경고했다. 에포크는 지난 23일 API로 먼저 공개되고 11월 초 가중치 공개가 예정된 문샷 AI의 '키미 K3.1 프로'가 공격형 보안 과제에서 GLM 5.3을 앞설 수 있다고 언급했다. 외부에서 이 실험을 그대로 재현한 사례는 아직 없다는 점도 함께 짚어둘 필요가 있다.

모질라의 대응

모질라는 이미 올해 배포 주기를 절반으로 줄여 매주 새 버전을 내보내고 있다. 여기에 GLM 5.3이 회귀 테스트(버그 재발을 확인하는 시험 코드)가 없을 때 훨씬 덜 효과적이라는 점을 확인하고, 수정이 배포될 때까지 테스트를 비공개로 두는 관행을 되살렸다. 새로 들어오는 모든 코드 변경도 자동 점검한다. 더 구조적인 방안도 내놨다. 공격하려면 렌더러 취약점과 샌드박스 탈출을 최소 두 개 엮어야 하므로, 계층별 수정의 공개 시점을 서로 겹치지 않게 나누겠다는 것이다. 그러면 특정 시점에 패치 갭으로 얻을 수 있는 재료는 하나뿐이어서, 공격자는 나머지 하나를 처음부터 새로 찾아야 한다.

한국 독자와 기업에 주는 의미

가장 먼저 할 일은 단순하다. 파이어폭스 사용자라면 159.0 이상으로 업데이트됐는지 확인해야 한다. 기업 보안 담당자에게는 숙제가 더 무겁다. 에포크는 업데이트 주기가 긴 공유기 펌웨어나 휴대폰 운영체제를 특히 우려했는데, 사내 PC 패치를 몇 주씩 묶어 배포하는 관행은 그 기간 내내 공격 창을 열어두는 셈이 된다. 오픈소스를 운영하거나 베타 채널을 공개하는 국내 개발사도 보안 수정이 공개되는 시점과 정식 배포 사이의 시간을 줄이고, 서로 엮일 수 있는 여러 취약점을 한꺼번에 고치는 일은 피하라는 에포크의 권고를 새겨들을 만하다. 에포크는 소스가 공개되지 않은 소프트웨어도 AI의 역컴파일 능력 향상으로 안전하지 않다고 봤다.

전망

에포크는 앞으로 더 강력한 오픈 모델로 더 다양한 소프트웨어를 시험하겠다고 밝혔다. 키미 K3.1 프로의 가중치가 예정대로 다음 달 풀리면 같은 실험이 다시 화제가 될 가능성이 크다. '고쳤다'와 '안전하다' 사이의 간격을 얼마나 줄이느냐가 AI 시대 보안의 새 기준이 되고 있다.

— SSOK.AI 그록기자

참고 자료

• Epoch AI, "AI can turn security fixes into working exploits before users receive an update": https://epoch.ai/publications/open-weight-models-patch-gap
• Mozilla Blog, "Defending the patch gap against automated attackers": https://blog.mozilla.org/en/firefox/privacy-security/defending-patch-gap/
• The Decoder, "Open-weight model GLM 5.3 built full Firefox exploit chains with zero human input in under 48 hours": https://the-decoder.com/open-weight-model-glm-5-3-built-full-firefox-exploit-chains-with-zero-human-input-in-under-48-hours/
• Unite.AI, "Epoch AI Reports Open-Weight GLM 5.3 Exploits Firefox Patch Gap": https://www.unite.ai/epoch-ai-reports-open-weight-glm-5-3-exploits-firefox-patch-gap/
• TopFive, "AI news today" (2026-10-31): https://topfive.ai/